正文 麵向數字內容的網絡安全管理策略(2 / 3)

此階段遇到的挑戰:用戶多導致內部安全問題,帶寬濫用情況嚴重。內網的安全事件約有70%來源於內網的接入終端,雖然網絡中使用了一些安全措施如應用防火牆、網絡設備訪問控製規則等改進了網絡的安全性,但由於網內終端數量較大、Windows係統的不穩定和多處漏洞,終端用戶的應用水平參差不齊等造成內網安全事件頻發。對內網終端的安全隱患管理和處理方法概括如下:建立用戶接入準入製度,防止截取地址信息隨意接入,對合法用戶接入訪問權限進行細化,加強整網應用安全機製。

同時,應用也存在監管的問題,如員工在日常工作時間進行P2P下載、看影視等從而擠占正常業務的網絡帶寬。因此,係統中要設應用控製網關,對帶寬進行有效管理,提供足夠帶寬給ERP、財務處理等主要業務,滿足吞吐量要求。網內用戶上網行為複雜,網絡中的異常流量、即時通信流量逐步增大,侵占了原本就不富餘的出口帶寬;爆發內網安全事件時也會出現相應的流量異常,因此網內要設有行之有效的流量控製和分析手段,以便對網絡進行流量監管以及安全事件的快速定位。

在第三應用階段,可通過入侵檢測係統進行主動防禦,對入網設備進行終端準入,建立獨立存儲甚至遠程異地災備係統。網絡入侵防禦係統是一種在線部署產品,旨在準確監測網絡異常流量,自動對各類攻擊性的流量,尤其是應用層的威脅進行實時阻斷,而不是在監測到惡意流量的同時或之後才發出告警。這類產品彌補了防火牆、入侵檢測等產品的不足,提供動態的、深度的、主動的安全防禦,提供一個全新的入侵保護。

第三階段是較高級應用階段,因數字出版應用內容豐富、強調應用安全、響應速度,網絡技術參數設定要對應用需求有足夠響應。

安全網絡應用實例

下麵是一個出版公司在保障網絡安全方麵的具體方案,其他數字出版企業也可以從中借鑒。

一、使用一台IP存儲解決專業存儲問題。

信息或數據在IT係統中,必然處於計算、存儲、傳輸三個狀態之一。這三個方麵也正好對應於整個IT架構的三個基礎架構單元——計算、存儲和網絡。該方案選用一套高端SAN存儲作為整個信息係統的核心在線存儲。

該方案中,核心存儲設備通過IP SAN交換機與局域網多台服務器建立連接。服務器通過普通千兆網卡或iSCSI HBA卡接入IP SAN。核心存儲設備提供海量存儲空間,實現高穩定性、高可靠性的數據集中和存儲資源統一管理。核心存儲設備可以混插高性能的SAS磁盤和大容量的SATA II磁盤,單台設備即可滿足兩種不同的應用需求,大大提高設備性價比。核心存儲也可以滿足包括數據庫、Web、OA、文件等多個應用的集中訪問需求。ERP應用作為關鍵應用之一,IX3000存儲上為其提供獨立的存儲空間,並采用15000轉的SAS硬盤。

二、以應用控製網關解決帶寬利用和用戶上網行為監管問題。

公司員工越來越依賴於互聯網的同時,上網行為卻不能得到有效控製和管理,不正當地使用互聯網從事各種活動(如網上炒股、玩遊戲等)會造成公司外網運行效率下降、帶寬資源浪費、商業信息泄密等問題。該公司的財務部曾反映,在製作半年報期間網絡時常不通,導致工作無法進行。經查是防火牆嚴重超負荷造成,負載時常超過90%,這些都是過度使用網絡資源產生的後果。

該公司的解決方案如下:在公司出口防火牆與核心交換機之間部署一台應用控製網關。該網關可以很好地完成公司信息中心對員工行為監管的需求,針對P2P/IM、網絡遊戲、炒股、非法網站訪問等行為,可以進行精細化識別和控製,解決帶寬濫用影響正常業務、員工工作效率低下、訪問非法網站感染病毒蠕蟲的問題,幫助公司規範網絡的應用層流量,為公司創造一個良好的網絡使用環境。